Política de segurança de informação

Política de Segurança da Informação do Sistema de Votação Eletrónico eVotUM

Versão: 1.0

Data: 26 de janeiro de 2017

São objetivos da Política de Segurança da Informação:

a preservação da integridade, confidencialidade e credibilidade dos ativos de informação do sistema de votação eletrónico eVotUM, assim como a sua disponibilidade, e
o combate aos atos acidentais ou intencionais de destruição, modificação, apropriação ou divulgação indevida de informações.

Considera-se ativo de informação o património composto por todos os dados e informações geradas, adquiridas, utilizadas ou armazenadas pelo sistema de votação eletrónico eVotUM.

Utilizadores

Os recursos de TI (tecnologia de informação) do sistema de votação eletrónico eVotUM podem apenas ser utilizados para execução de atividades pertinentes e de interesse aos processos eleitorais.
Os utilizadores do sistema de votação eletrónico eVotUM devem ter acesso unicamente aos recursos de TI que forem indispensáveis à realização das suas atividades.
Os acessos aos recursos de tecnologia da informação na área restrita do site eVotUM só são permitidos mediante autenticação dos utilizadores.
O sistema de votação eletrónico eVotUM pode ser acedido por quatro tipo de utilizadores distintos:

Responsável institucional – nomeado pelo Reitor da Universidade do Minho, é responsável pela configuração dos processos eleitorais, com a indicação das várias eleições e datas relevantes, elementos das Comissões Eleitorais, geração automática dos pares de chaves de cifra/decifra dos votos e envio das componentes da password de acesso à chave de decifra aos vários elementos das Comissões Eleitorais. É ainda responsável pela geração da Entidade de Certificação Raiz eVotUM e pela assinatura de todos os certificados digitais emitidos para as componentes deste sistema;
Membro da comissão eleitoral – identificado no sistema pelo responsável institucional, gere o processo eleitoral e as várias eleições que o constituem;
Eleitor – identificado no sistema pela Comissão eleitoral, pode:

Alterar os dados pessoais (correio eletrónico de contacto e forma de segunda autenticação de votação);
Consultar os seus processos eleitorais;
Comunicar com as Comissões Eleitorais;
Votar em cada uma das eleições, caso esteja dentro do período de votação;
Verificar que o seu voto foi contabilizado na eleição, através da introdução da referência de votação.

Público – pode aceder às páginas públicas do sistema de votação eletrónico eVotUM, com:

Informação genérica (Perguntas frequentes, Política de segurança de informação, Política de privacidade, Termos de utilização, Mapa do site, Contactos);
Consulta de processos eleitorais (toda a informação disponibilizada pelas Comissões Eleitorais);
Verificação de cadernos eleitorais, podendo ser apresentadas reclamações caso haja incorreção nos mesmos.

Ao eleitor, membros da comissão eleitoral e responsável institucional são disponibilizadas contas de acesso pessoais e intransferíveis, para acesso à área restrita do site eVotUM. As credenciais de segurança de acesso a essa conta, são as credenciais utilizadas para aceder aos vários serviços disponibilizados na Intranet da Universidade do Minho.

O público tem acesso às páginas públicas do sistema de votação eletrónico eVotUM, sem necessitar de contas de acesso pessoais.

A credencial de segurança é única, pessoal e intransferível, não devendo ser compartilhada. A sua utilização ou consequências decorrentes do seu uso indevido são da responsabilidade exclusiva do seu titular.
Para recuperar a senha (password) da credencial de segurança de acesso à área restrita, o eleitor deve seguir o procedimento indicado pela DTSI (Direção de Tecnologia e Sistemas de Informação) para recuperação/alteração da senha de acesso aos Serviços Eletrónicos da Universidade do Minho, podendo efetuar a recuperação/alteração da palavra-passe online através do portal da Intranet (https://intranet.uminho.pt).
Esta operação pressupõe que o eleitor tenha preenchido previamente na Intranet e na ficha pessoal dos recursos humanos, os seus contactos pessoais, nomeadamente, o número de telemóvel ou um endereço de email pessoal (diferente do institucional). Se tal não se verificar, o eleitor deverá dirigir-se às instalações da DTSI.
Os membros da comissão eleitoral são responsáveis por configurar o nível de segurança das diferentes ações que podem ser efetuadas pela comissão eleitoral:

Simples – Apenas é necessário um membro da comissão eleitoral, para executar a ação.
Forte – São necessários (M/2)+1 membros da comissão eleitoral, para executar a ação. (M = número total de membros da comissão eleitoral)
Crítico – São necessários todos os membros da comissão eleitoral, para executar a ação.

O utilizador é responsável por todos os acessos realizados por meio da sua conta pessoal.
O utilizador deve bloquear o acesso à área restrita do site eVotUM quando tiver de se ausentar do dispositivo por onde lhe está a aceder, considerando-se que será responsável por eventuais consequências advindas de manuseios indevidos realizados por meio da sua conta aberta.
O utilizador deve zelar pelo sigilo da sua senha de acesso, sendo responsável pelos possíveis danos que o seu uso vier a ocasionar.
O utilizador é responsável pela correta utilização dos recursos de TI do sistema de votação eletrónico eVotUM, e pela promoção proactiva da segurança das informações.
O utilizador deve preservar o sigilo das informações utilizadas e fornecidas.
Os utilizadores devem reportar os incidentes que afetam a segurança dos ativos de informação ou o não cumprimenta desta Política de Segurança da Informação.

Propriedade intelectual

A utilização de recursos de TI no sistema de votação eletrónico eVotUM respeita a legislação vigente referente à proteção da propriedade intelectual (direitos de autor, softwares e patentes).
Todo projeto desenvolvido no âmbito do sistema de votação eletrónico eVotUM é da exclusiva propriedade da Universidade do Minho, não podendo os utilizadores alegar propriedade de qualquer natureza.

Medidas de segurança físicas

As medidas de segurança das instalações do Datacenter onde estão alojados os recursos de TI do sistema de votação eletrónico eVotUM tem as seguintes características:

Utilização de sistema de CCTV, com recolha de imagens (CCTV) na envolvente de proximidade imediata do edifício, corredor de acesso ao Datacenter e seu interior;
O acesso às instalações é efetuado com o recurso ao cartão do funcionário, o acesso ao corredor do Datacenter é efetuado com o recurso ao cartão do funcionário e o acesso ao Datacenter é efetuado por identificação biométrica (leitura da íris).
As Instalações estão protegidas por um sistema de alarme de intrusão.
O Datacenter é protegido por um sistema de alarme de intrusão composto por sensores de impacto que protegem de qualquer tentativa de intrusão efetuada diretamente do exterior.
O acesso ao Datacenter por identidades externas é sempre acompanhado por um elemento da equipa de gestão do Datacenter.
O acesso físico aos servidores de rede em produção é feito apenas para a execução de tarefas que obrigatoriamente necessitem de interação física com os equipamentos existentes, ou tarefas que possam ser prejudicadas pela perda de conectividade.
Os recursos de TI estão identificados e inventariados.

Medidas de segurança lógica

O sistema de votação eletrónico eVotUM incorpora os meios e mecanismos adequados de modo a garantir o correto tratamento da informação, nomeadamente na criação, armazenamento, consulta, atualização, transferência e eliminação de dados, respeitando as políticas e normas de segurança de informação aplicáveis, internas e normativas, garantindo o seguinte:

Todas as aplicações têm configurados perfis de utilizador com diferentes privilégios, garantindo que nunca são atribuídos mais privilégios do que aqueles que o utilizador necessita;
O acesso de utilizadores às diversas aplicações baseia-se em mecanismos de autenticação forte, ou quando tal não é possível, são adotadas as melhores práticas na utilização de passwords;
Para assegurar a confidencialidade do tráfego, todas as comunicações utilizam o protocolo TLS;
O sistema eVotUM possui mecanismos que suportam a realização de auditorias de segurança.
São utilizados mecanismos de segurança adequados, ao nível da rede e do sistema operativo, de modo a garantir padrões de segurança state of the art.
A utilização de ferramentas de monitorização e administração de sistemas é realizada de forma controlada, não comprometendo a segurança das informações e dos ambientes.
As ferramentas de monitorização e administração da rede, dos sistemas e das bases de dados são de uso exclusivo dos administradores dos respetivos serviços.
A manutenção e a atualização do ambiente de produção são agendadas, preferencialmente, fora dos períodos de votação.
Os sistemas de informação são, sempre que possível, mantidos atualizados com as versões mais recentes disponíveis.
Os recursos de TI do sistema de votação eletrónico eVotUM são atualizados, sempre que for detetada alguma vulnerabilidade.
Para restringir o acesso físico ao ambiente de produção, os servidores de rede possuem consolas de gestão remota para sua administração.
São armazenados, de forma centralizada e protegidos contra remoção e acessos indevidos, os registos de eventos (logs), incluindo informações de sucesso e insucesso de acessos, para efeito de eventuais auditorias futuras.
O plano de realização de cópias de segurança (backups) tem por objetivo a recuperação de desastres por perda de dados originais por apagamento acidental ou corrupção de dados e, respeita as especificações de armazenamento e vida útil dos mídias utilizados.
O backup das informações armazenadas nos sistemas de informação é executado, preferencialmente, em horário de baixa utilização do sistema de votação eletrónico eVotUM.
São executados procedimentos periódicos de restauração das informações contidas nos mídias de backup, com vistas à verificação da integridade das informações gravadas.

Disposições finais

Fica assegurado à DTSI, a qualquer momento, tomar as medidas necessárias quando evidenciados os riscos à segurança da informação.
O acesso e uso indevido aos recursos de TI do sistema de votação eletrónico eVotUM é passível de sanção legal, de acordo com a legislação vigente.

Vigência e atualização

Esta política entra em vigor a partir da data da sua publicação.
A sua atualização ocorrerá sempre que for necessário.